La Corte di Cassazione con sentenza n. 188 del 9 gennaio 2017, ha accolto il ricorso presentato dal Garante per la protezione dei dati personali, nei confronti di una sentenza che annullava la sanzione erogata per omessa notifica (pagamento di una somma di euro 40.000).
L’Autorità, a seguito di alcuni controlli, aveva appurato che una clinica sanitaria privata aveva omesso di notificare il trattamento di dati sensibili prescritto dall’art. 37, lett. b), d.lgs. n. 196/2003 (Codice Privacy). Tale articolo, prevede che “Il titolare notifica al Garante il trattamento di dati personali cui intende procedere, solo se il trattamento riguarda (…) dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria..”
Quest’ultima, però aveva impugnato l’ordinanza ingiunzione ed il Tribunale, in primo grado, accogliendone le doglianze, l’aveva annullata. La clinica, in particolare, sosteneva di dover essere esonerata dall’obbligo di notificazione in quanto l’attività di “rilevazione” di malattie non veniva svolta in via principale, bensì soltanto in via accessoria. La sanzione, pertanto, era frutto di un’interpretazione estensiva che, in maniera indebita, allargava l’onere di notificazione.
A quel punto il Garante si era rivolto ai Giudici di legittimità, che, attraverso la sentenza in commento, hanno cassato la pronuncia di primo grado, sostenendo che l’interpretazione del termine “rilevazione” presente nell’articolo 37 non potesse essere utilizzata, contrariamente a quanto affermato dalla clinica, per limitare l’obbligo di notificazione.
Nella sentenza, viene spiegato che fulcro della decisione è, senza dubbio, la corretta interpretazione del citato art. 37.
La semplice lettura del testo ora riportato rende palese che la corretta interpretazione della norma, giustamente invocata dalla parte ricorrente, ma disattesa dalla impugnata sentenza, giustifica – nella fattispecie – la dovuta giustifica [recte: notifica – n.d.r.] del trattamento dei dati.
In altre parole ed a differenza di quanto sostenuto con la gravata decisione la doverosità, nell’ipotesi, della dovuta notifica del trattamento dei dati non può ritenersi onere conseguente ad una interpretazione estensiva, ma, al contrario, ad una corretta interpretazione letterale, fondata, come prescritto dall’art. 12 delle preleggi, sul significato proprio delle parole e, precisamente, della parola “rilevazione“, ossia atto (e risultato dell’atto) del rilevare.
L’obbligo prescritto dall’articolo 37, quindi, grava su tutte le strutture sanitarie, anche quando la rilevazione sia funzionale alla sola erogazione di prestazioni sanitarie. La clinica, peraltro, secondo la Cassazione, non avrebbe potuto neppure giovarsi dell’esonero disposto dal Garante con la delibera n. 1 del 31.3.04, in relazione ai trattamenti di dati effettuati da esercenti le professioni sanitarie; ciò in quanto l’espressione “esercenti le professioni sanitarie” non poteva che riferirsi a persone fisiche e non a strutture sanitarie, pubbliche o private.
Vedi: Corte di cassazione Sezione II civile
Sentenza 9 gennaio 2017, n. 188